имеет ли смысл отправлять информацию о пароле во время общения по электронной почте с веб-сайтов

Question

Большинство онлайн-сайтов при регистрации отправляют ссылку для активации сайта и при любой дальнейшей переписке с конечным пользователем предоставляют информацию о сайте, а также предоставляют учетные данные для входа с паролем в виде открытого текста (как указано ниже)

Имя пользователя - myname@gmail.com Пароль - mysecretpassword

Что бы вы сделали в таком случае?С точки зрения юзабилити имеет смысл отправлять информацию о пароле в виде открытого текста или вам следует просто избегать отправки этой информации.У меня сложилось впечатление, что большинство паролей перед сохранением в базе данных хешируются MD5, и, следовательно, у поставщика услуг не будет доступа к открытым текстовым паролям, это нарушение безопасности?

Answer 1

Это распространенная ошибка: если вы получаете пароль в виде обычного текста, это означает, что он не хранится надежно - пароли, как и любые другие данные, могут храниться с использованием обратимого шифрования.

Сказав это,вполне вероятно, что любой, кто отправляет вам незашифрованный пароль, не имеет ни малейшего понятия о безопасности и, вероятно, хранит их небрежно (если пароли не используются в качестве слабых реальных идентификаторов, скажем, как часть схемы членства в магазине, в этом случаеих не следует называть паролями, чтобы ваши клиенты не запутались).

Если вы отправляете простой текстовый пароль, вы можете также предположить, что, если он связан с чем-то важным, он будет скомпрометирован.Слишком много слабых мест.Вы также можете нанести гораздо больший непреднамеренный ущерб.

1. Электронная почта может быть перехвачена, давая кому-то пароль.
2. Кто-то может увидеть, как они открывают электронную почту на своем экране (были у друзей)дома, и это случалось с нами так много раз, и каждый раз, когда меняются все ваши пароли, возникает огромная головная боль.
3. Электронная почта может быть перенаправлена ​​на другие адреса, которые не защищены.
4. Электронная почта может отскочить / встретиться с ошибкой сервера, а затем вы (возможно, ваш недоверенный персонал или служба поддержки со стороны)? И системный администратор сервера электронной почты, вероятно, получит копии оригинальной электронной почты.
5. Кто-то, ктополучает доступ к электронной почте пользователя через угонщик файлов cookie или даже просто ненадолго открытую учетную запись электронной почты теперь сможет увидеть его пароль.Хуже того, их пароль, вероятно, используется в другом месте (или, по крайней мере, имеет общий ствол, например, «password1», «password1 $$», «passwordSuperSecure123»), так что теперь вы скомпрометировали больше, чем просто собственную службу.Что еще хуже, это может быть пароль к учетной записи электронной почты, которая была взломана, и теперь они могут украсть учетную запись электронной почты этого человека и, таким образом, идентифицировать ее на гораздо более длительное время, чем дата истечения срока действия файла cookie / сеанса.(Это все случилось с людьми, которых я знаю).

Answer 2

Да, это определенно нарушение безопасности.Следует хранить только соленые и хешированные версии паролей.

обычно имеет функцию сброса пароля, которая отправляет либо временный автоматически сгенерированный пароль (который подходит только для одного входа в систему), либо ссылку для одноразового сброса.Это означает, что ваши другие учетные записи защищены так же, как и ваша электронная почта.

Однако вам следует избегать любого сайта, который отправит ваш действительный пароль в виде открытого текста.

Answer 3

Всегда есть компромиссы, и разработчики должны учитывать удобство использования, смекалку предполагаемых пользователей, секретность и важность данных, частоту использования сайта и так далее.Конечно, пользователи не хотят, чтобы их конфиденциальность нарушалась, но, с другой стороны, «обычные» веб-пользователи могут быть отключены из-за необходимости запоминать пароль или даже придумывать его в первую очередь (некоторые веб-сайты упрощают регистрацию пользователей, создаваяслучайный пароль и его отправка по электронной почте).Разработчики веб-сайтов обязаны учитывать интересы пользователей при проектировании безопасности.

Мой совет заключается в том, что пароли следует отправлять по электронной почте только в открытом виде, когда они генерируются случайным образом.Это позволяет избежать следующего неудобного сценария: пользователь регистрируется с паролем, который он уже использует для различных других веб-служб, а затем получает электронное письмо с подтверждением регистрации, содержащее только что введенный пароль.Многие пользователи могут быть недостаточно внимательны к безопасности, чтобы использовать уникальные пароли для каждого веб-сайта, но они достаточно внимательны к безопасности, чтобы признать, что «чувствительные» пароли не следует рассылать по электронной почте.